מערך הסייבר הלאומי לעסקים: קו 119, הנחיות, הצעת חוק הגנת הסייבר 2026 וגופים מפוקחים

מערך הסייבר הלאומי הוא הגוף הממשלתי שאחראי על הגנת מרחב הסייבר האזרחי בישראל. לעסק קטן או בינוני חשובים בעיקר שני דברים שהוא נותן. הראשון הוא קו החירום 119 של המרכז הארצי לניהול אירועי סייבר (CERT): מספר ארצי ללא תשלום שבו מדווחים על אירוע סייבר ומקבלים סיוע ראשוני. השני הוא הנחיות והתרעות שמתפרסמות לארגונים ולציבור. אין כרגע חוק סייבר כללי שמחייב עסקים פרטיים. (חריג: ספקי שירותים דיגיטליים ושירותי אחסון כפופים להוראת שעה משנת 2023, ראו בהמשך.) הצעת חוק הגנת הסייבר הלאומית, התשפ״ו–2026 אושרה בקריאה ראשונה בכנסת ב-8 ביוני 2026. לא מצאנו דיווח על קריאה שנייה ושלישית. בינתיים הכנסת ה-25 החליטה להתפזר (יולי 2026), והבחירות לכנסת ה-26 נערכו ב-27 באוקטובר 2026. לכן ההצעה תמשיך רק אם יוחל עליה דין רציפות בכנסת החדשה. החובות המחייבות עסק פרטי באבטחת מידע אישי הן היום החובות לפי חוק הגנת הפרטיות ותקנות אבטחת המידע, ולגופים מפוקחים גם הוראות של הרגולטור שלהם.

המדריך הוא חלק מהמדריך המרכזי לעלות הגנת סייבר.

קו 119: מתי מתקשרים ומה מצפים

לפי עמוד ה-CERT באתר gov.il, 119 הוא קו חירום ללא תשלום שבו כל אזרח יכול לדווח על אירוע סייבר ולקבל סיוע ראשוני. הוא מיועד גם לעסקים.

מתי לפנות:

• חשד למתקפת כופרה, כלומר קבצים מוצפנים והודעת דרישה.
• השתלטות על חשבון דואר, WhatsApp או רשת חברתית של העסק.
• הונאת תשלום: מייל ״מהספק״ שגרם להעברת כסף לחשבון אחר.
• דליפה חשודה של מידע, או הודעת סחיטה.
• התראה שקיבלתם על חולשה במערכת שלכם.

מה לא לצפות: 119 הוא לא ספק IR פרטי שיגיע למשרד וינקה את הרשת. הוא נותן הכוונה, מידע ולעיתים התרעה לארגונים אחרים. העבודה בפועל נשארת אצל ספק ה-IT או ספק האבטחה שלכם. לכן מומלץ שיהיה לכם מספר טלפון מוסכם מראש של ספק תגובה לאירוע. ראו השעות הראשונות של כופרה.

חשוב: דיווח ל-119 אינו ההודעה לרשות להגנת הפרטיות. אם נפגע מאגר ברמה בינונית או גבוהה, ייתכן שאתם חייבים להודיע גם לרשות, באופן מיידי. ראו דיווח על אירוע אבטחה חמור.

הנחיות לעסקים

מערך הסייבר מפרסם באתרו המלצות לארגונים ולעסקים קטנים, התרעות על חולשות ועל קמפיינים פעילים, ותורת הגנה לארגונים. לא נצטט כאן מסמך מסוים, כי הכתובות והגרסאות מתעדכנות. חפשו אותם תחת ״מערך הסייבר הלאומי״ ב-gov.il. ההמלצות הנפוצות לעסק קטן חוזרות על אותם יסודות: אימות דו-שלבי, עדכונים, גיבוי מנותק, הרשאות מינימליות, זהירות מדיוג והכנה לאירוע. את היסודות האלה ריכזנו בצ׳קליסט בסיס האבטחה.

הצעת חוק הגנת הסייבר הלאומית, 2026: מה ידוע

המידע בטבלה מבוסס על פרסומים של משרדי עורכי דין (בעיקר עדכון לקוחות של גורניצקי מ-17.6.2026) ועל דיווחים בתקשורת מיוני–יולי 2026. את נוסח ההצעה ברשומות (הצעות חוק הממשלה) לא הצלחנו לפתוח, כי אתר הכנסת חסום לגישה מחוץ לישראל. לפי אותו ניתוח, אם ההצעה תיחקק בנוסח הנוכחי, החוק ייכנס לתוקף שלושה חודשים אחרי פרסומו, וחלק מהחובות יחולו רק אחרי 12 חודשים. אם ההצעה תתקדם, הנוסח הסופי עשוי להיות שונה.

הוראת השעה שכבר בתוקף. ספקי שירותים דיגיטליים ושירותי אחסון כפופים כבר היום לחוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה), התשפ״ד–2023, שנחקק בזמן מלחמת ״חרבות ברזל״. החוק מסמיך את הגורמים המוסמכים לתת לספק הוראות בעת תקיפת סייבר חמורה. לפי הנוסח המשולב, הוא בתוקף עד 31 בינואר 2027, אלא אם יוארך. אם אתם ספקי IT, ענן או אחסון, בדקו עם עורך דין אם הוא חל עליכם.

גופים מפוקחים: בקצרה

אם העסק שלכם פועל בתחום מפוקח, יש עליו שכבת חובות נוספת מצד הרגולטור, לעיתים מפורטת ומחמירה יותר מתקנות אבטחת המידע:

• רשות שוק ההון, ביטוח וחיסכון פרסמה חוזרים על ניהול סיכוני סייבר לגופים המפוקחים בידה. לפי פרסומים, המוכר שבהם הוא חוזר גופים מוסדיים 2016-9-14, ״ניהול סיכוני סייבר בגופים מוסדיים״ (2016), שמטיל על הדירקטוריון לאשר מדיניות סייבר. ייתכן שהחוזר עודכן או שולב בקודקס הרגולציה של הרשות, ולכן בדקו את הנוסח העדכני. לפי פרסומים, הרשות קידמה גם הסדרה לנותני שירותים פיננסיים, ולכן ייתכן שחלות הוראות גם על בעלי רישיון אחרים שבפיקוחה. בדקו בחוזרים העדכניים באתר הרשות איזה חוזר חל עליכם.
• בנק ישראל מפקח על הבנקים באמצעות הוראות ניהול בנקאי תקין, ובהן הוראה בנושא ניהול הגנת הסייבר (המוכרת כהוראה 361). את מספר ההוראה ונוסחה העדכני בדקו באתר בנק ישראל.
• רשות ניירות ערך ורגולטורים מגזריים נוספים מפרסמים הנחיות לגופים שבפיקוחם.

לרוב, עסק קטן שאינו מפוקח לא כפוף לחוזרים האלה. אבל אם אתם ספקים של גוף מפוקח, למשל סוכנות ביטוח, ספק תוכנה למבטח או משרד שמטפל בתיקים של בנק, הלקוח עשוי לדרוש מכם בחוזה עמידה בחלק מהדרישות. זה מקור נפוץ ל״שאלון אבטחה״ שמגיע לעסקים קטנים.

מה כדאי לעשות כבר עכשיו

1. שמרו את 119 בדף החירום של העסק, לצד הטלפון של ספק ה-IT ושל חברת הביטוח.
2. הירשמו להתרעות שמערך הסייבר מפרסם, או ודאו שספק ה-IT שלכם עוקב אחריהן.
3. אל תחכו לחוק הסייבר. החובות לפי תקנות אבטחת המידע ותיקון 13 כבר בתוקף. ראו העיצומים.
4. אם אתם ספקי IT או שירות מנוהל, בדקו אם הוראת השעה של 2023 חלה עליכם, ועקבו אחרי ההצעה. ייתכן שתיכללו בה.

שאלות נפוצות

האם מערך הסייבר יכול לחייב אותי לעשות משהו?

לגבי עסק פרטי שאינו גוף מוגדר בחקיקה אחרת, ההצעה החדשה היא שאמורה לתת למערך סמכויות כאלה, והיא טרם נחקקה. ייתכנו סמכויות לפי הסדרים אחרים לגופים מסוימים, למשל לפי הוראת השעה לספקי שירותים דיגיטליים ואחסון. אם קיבלתם פנייה רשמית, התייעצו עם עורך דין.

האם הדיווח ל-119 חסוי?

מדיניות הטיפול במידע של ה-CERT מתפרסמת באתר gov.il. אל תניחו שדיווח ל-119 מחליף דיווח שאתם חייבים לגורם אחר, כמו הרשות להגנת הפרטיות, הרגולטור שלכם או חברת הביטוח.

מה ההבדל בין מערך הסייבר לרשות להגנת הפרטיות?

מערך הסייבר עוסק בהגנה על מרחב הסייבר: התרעות, סיוע באירועים ותורת הגנה. הרשות להגנת הפרטיות היא הרגולטור של חוק הגנת הפרטיות ותקנות אבטחת המידע. היא מקבלת דיווחים על אירוע חמור, מפקחת ומטילה עיצומים.

מקורות

• מערך הסייבר הלאומי ו-CERT (gov.il) — 119, הנחיות והתרעות
• הכנסת: מאגר החקיקה — מצב הצעת חוק הגנת הסייבר הלאומית, התשפ״ו–2026
• ויקיטקסט — נוסח משולב של חוק רציפות הדיון בהצעות חוק, התשנ״ג–1993 ושל הוראת השעה לשירותים דיגיטליים ואחסון, התשפ״ד–2023
• גורניצקי: הצעת חוק הגנת הסייבר הלאומית — ניתוח משפטי של ההצעה (17.6.2026)
• רשות שוק ההון, ביטוח וחיסכון (gov.il) — חוזרי ניהול סיכוני סייבר
• בנק ישראל — הוראות ניהול בנקאי תקין